管理您的 組織的存取許可

根和組成一個組織的層次結構 OUs

屬於組織成員的帳戶

您連接到組織中實體的政策

您用來變更組織狀態的交握

aws:PrincipalOrgID – 簡化在以資源為基礎的政策中指定 Principal 元素。此全域金鑰提供了列出組織中所有 AWS 帳戶 帳戶IDs的替代方法。您可以在 Condition 元素中指定組織 ID，而不是列出組織成員的所有帳戶。

若要取得更多資訊，請參閱《IAM使用指南》PrincipalOrgID中的AWS 整體條件前後關聯鍵字中的描述。

aws:PrincipalOrgPaths – 使用此條件金鑰來比對特定組織根、OU 或其子系的成員。當提出要求的主參與者 (root 使用者、IAM使用者或角色) 位於指定的組織路徑中時，aws:PrincipalOrgPaths條件索引鍵會傳回 true。路徑是 AWS Organizations 實體結構的文字表示。若要取得有關路徑的更多資訊，請參閱《IAM使用指南》中的瞭解 AWS Organizations 實體路徑。如需有關使用此條件金鑰的詳細資訊，請參閱使用IAM者指南PrincipalOrgPaths中的 aws:。

例如，下列條件元素符合相同組織OUs中兩個其中一個的成員。

            "Condition": {
                "ForAnyValue:StringLike": {
                    "aws:PrincipalOrgPaths": [
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-def0-awsbbbbb/",
                        "o-a1b2c3d4e5/r-f6g7h8i9j0example/ou-jkl0-awsddddd/"
                    ]
                }
            }

organizations:PolicyType— 您可以使用此條件索引鍵來限制「Organizations」原則相關作API業僅處理指定類型的「Organizations」原則。您可以將此條件金鑰套用至任何政策陳述式，其中包含與 Organizations 政策互動的動作。

您可以搭配此條件金鑰使用下列值：

例如，下列範例政策允許使用者執行任何 Organizations 操作。不過，如果使用者執行一個採取政策引數的操作，則只有在指定的政策是標記政策時，才允許此操作。如果使用者指定任何其他類型的政策，則此操作會失敗。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "IfTaggingAPIThenAllowOnOnlyTaggingPolicies",
            "Effect": "Allow",
            "Action": "organizations:*",
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:PolicyType": [ "TAG_POLICY" ]
                }
            }
        }
    ]
}

organizations:ServicePrincipal— 如果您使用 E nableAWSService Access 或 D isableAWSService Access 操作來啟用或禁用其他 AWS 服務的受信任訪問，則可作為條件使用。您可以使用 organizations:ServicePrincipal 來限制這些操作對核准的服務委託人名稱清單所做的請求。

例如，下列原則允許使用者僅在使用啟用和停用受信任存取 AWS Firewall Manager 時指定 AWS Organizations。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowOnlyAWSFirewallIntegration",
            "Effect": "Allow",
            "Action": [
                "organizations:EnableAWSServiceAccess",
                "organizations:DisableAWSServiceAccess"
            ],
            "Resource": "*",
            "Condition": { 
                "StringLikeIfExists": {
                    "organizations:ServicePrincipal": [ "fms.amazonaws.com" ]
                }
            }
        }
    ]
}

如果您使用管理帳戶的根憑證來建立 OU，則您的管理帳戶即為資源的擁有者。(在中 AWS Organizations，資源是 OU。)

如果您在管理帳IAM戶中建立使用者，並將建立 OU 的權限授與該使用者，則該使用者可以建立 OU。不過，使用者所屬的管理帳戶會擁有資源。

如果您在具有建立 OU 權限的管理帳戶中建立IAM角色，則任何可以擔任該角色的人都可以建立 OU。角色所屬的管理帳戶 (非擔任使用者) 會擁有該 OU 資源。

將權限原則附加至帳戶中的使用者或群組 — 若要授與使用者建立 AWS Organizations 資源 (例如服務控制原則 (SCP) 或 OU 的權限，您可以將權限原則附加至使用者所屬的使用者或群組。使用者或群組必須位在組織的管理帳戶中。

將權限原則附加至角色 (授與跨帳戶權限) — 您可以將以身分識別為基礎的權限原則附加至IAM角色，以授與組織跨帳戶存取權。例如，管理帳戶中的管理員可以建立角色，將跨帳戶許可授予成員帳戶中的使用者，如下所示：

如需有關使用IAM委派權限的詳細資訊，請參閱《使用IAM者指南》中的〈存取管理〉。

AttachPolicy 和 DetachPolicy

CreateOrganizationalUnit 和 DeleteOrganizationalUnit

ListOrganizationalUnits 和 DescribeOrganizationalUnit

動作 – 使用此關鍵字，可辨識要允許或拒絕的操作 (動作)。例如，根據指定的Effect，organizations:CreateAccount允許或拒絕使用者執行 AWS Organizations CreateAccount作業的權限。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：動作。

資源 — 使用此關鍵字可指ARN定策略陳述式所套用的資源。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：資源。

條件 – 使用此關鍵字，可指定必須達到才能套用政策陳述式的條件。Condition 通常會指定必須成立政策才會符合的額外情況。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：條件。

效果 – 使用此關鍵字，可指定政策陳述式應允許或拒絕對資源執行動作。如果您未明確授予存取 (或允許) 資源，則隱含地拒絕存取。您也可以明確拒絕存取資源，您可能會這樣做，以確保使用者無法對特定資源執行特定動作，即使另有其他政策授予存取。如需詳細資訊，請參閱《IAM使用指南》中的IAMJSON策略元素：效果。

主體 — 在以識別為基礎的原則 (原IAM則) 中，附加原則的使用者會自動且隱含地成為主體。對於以資源為基礎的策略，您可以指定要接收權限的使用者、帳戶、服務或其他實體 (僅適用於以資源為基礎的策略)。 AWS Organizations 目前僅支援以身分識別為基礎的政策，不支援以資源為基礎的